[发明专利]一种脆弱性态势数据融合方法

说明书

本发明公开一种脆弱性态势数据融合方法，通过构建脆弱性数据本体，可以对脆弱性的概念以及概念间的关系做出明确定义，有效地消除不同的采集工具所采集的异构数据之间的不一致性；考虑了不同扫描工具在脆弱性证据方面的差异，提供的证据的信任度存在差异，采用基于加权的D‑S证据理论方法对不同工具扫描的脆弱性态势数据进行融合，融合过程中的相对权重代表各探测工具的信任度，从而使得融合的结果能更加反应真实情况；当多种证据产生冲突时，可以得到更好的结果。

技术领域

本发明涉及网络安全技术领域，具体涉及一种脆弱性态势数据融合方法。

背景技术

随着互联网技术的快速发展，网络逐渐成为人们生活中不可缺少的一部分，网络危害也越来越严重。各种安全设备被用于检测网络中的攻击事件，但这些设备大多处于独立工作状态，网络安全管理人员无法及时、准确地感知整个网络的状态。在这种情况下，网络安全态势感知技术应运而生。

网络安全态势感知是指对海量、多源、异构安全数据进行融合处理，形成具体的态势信息，通过整合分析判断相应状况并预测未来的发展趋势。其中，脆弱性数据是指在硬件的设备实现、软件的安全配置策略以及协议的设计过程中所存在的漏洞信息，攻击者加以利用能够实现非法入侵及破坏，因此它是网络安全态势感知的主要数据来源之一。但是这些脆弱性数据一方面呈现出多源、异构的特点，另一方面不同的安全设备探测能力不同，存在相应的漏报和误报问题。因此迫切需要一种高效、可扩展的脆弱性数据融合方法，以更好地服务于网络安全态势感知中的态势评估和态势预测。

发明内容

本发明提供一种脆弱性态势数据融合方法，其基于本体和加权D-S证据理论，从而能够更好地服务于网络安全态势感知中的态势评估和态势预测。

为解决上述问题，本发明是通过以下技术方案实现的：

一种脆弱性态势数据融合方法，包括步骤如下：

步骤1、采用本体对网络脆弱性信息资源进行分类描述，并建立资源描述的层次关系，将不同工具检测到的网络脆弱性信息资源规划为统一表述，得到网络脆弱性本体；

步骤2、根据各种探测工具的检测能力不同，给定各种探测工具的相对权重，同时给出第一判决门限ε₁和第二判决门限ε₂；

步骤3、根据步骤1所得到的网络脆弱性本体，并利用漏洞的相关属性中的每个具体的CVE编号和漏洞的严重程度对各个探测工具进行基本概率分配，获得各个探测工具针对每个具体的CVE编号的基本概率，该基本概率包括漏洞存在的基本概率、漏洞不存在的基本概率和漏洞未知的基本概率；

步骤4、根据步骤2给定的各种探测工具的相对权重，对步骤3所得到的各个探测工具针对每个具体的CVE编号的3种基本概率分别进行加权，获得各个探测工具针对每个具体的CVE编号的加权概率，该加权概率包括漏洞存在的加权概率、漏洞不存在的加权概率和漏洞未知的加权概率；

步骤5、利用D-S证据理论的合成规则对步骤4所得到的各个探测工具针对每个具体的CVE编号的3种加权概率采用两两交叉融合计算的方法进行融合，融合了所有探测工具针对每个具体CVE编号的漏洞信息，获得针对每个具体CVE编号的融合概率，该融合概率包括漏洞存在的融合概率、漏洞不存在的融合概率和漏洞未知的融合概率；

步骤6、构造过滤规则，对步骤5所得出的针对每个具体CVE编号的3种融合概率采用过滤规则进行过滤；若满足过滤规则，即同时满足漏洞存在的融合概率大于第一判决门限ε₁、漏洞未知的融合概率小于第二判决门限ε₂、以及漏洞存在的融合概率大于漏洞不存在的融合概率这3个条件，则表明该漏洞存在；若不满足过滤规则，则表明该漏洞不存在。

上述步骤1的子步骤如下：

步骤1-1、将网络脆弱性本体结构设计为多层结构；